Cyberkriminelle haben letztes Jahr scheinbar keinen Sommerurlaub gemacht. Zu diesem Schluss kommt man zumindest, wenn man sich den neuesten Bericht von Check Point Research ansieht, der angibt, dass die Anzahl der weltweiten Cyberattacken im dritten Quartal 2022 im Vergleich zum gleichen Zeitraum 2021 um 28% gestiegen ist. Im Durchschnitt erfolgten über 1130 Angriffe pro Unternehmen pro Woche. Die gute – oder verhalten optimistische – Nachricht ist, dass trotz dieses Anstiegs sich die Anzahl der Attacken im Gegensatz zur starken Erhöhung im vorausgegangenen Jahr stabilisiert hat.

Dies könnte ein Anzeichen dafür sein, dass Unternehmen ihre Investitionen in Cybersicherheitsstrategien signifikant erhöht haben, argumentieren Forscher. Dies sind Strategien, die sich im zunehmenden Maße um auf „Zero Trust“ (zu Deutsch: kein Vertrauen) basierenden Verfahren drehen, um Sicherheitsbedrohungen von sowohl außer- als auch innerhalb abzuwehren. Das ist die Überzeugung von Dell Technologies’ Adrian McDonald, der als Grund für diese zunehmende Implementierung den Druck, internationale regulatorische Anforderungen erfüllen zu müssen, angibt: Regierungsbehörden und Anbieter wichtiger Infrastrukturen verlangen inzwischen einen Wechsel zu Zero Trust, wie z. B. die US-amerikanische Regierung, die eine Umstellung bis zum Jahr 2024 vorschreibt.

Aber was bedeuten „Zero Trust“ und „Zero Knowledge“ und wie funktionieren sie? Wie unterscheidet Zero-Knowledge-Verschlüsselung sich von anderen Verschlüsselungsmethoden und was sind ihre Vor- und Nachteile für Nutzer? Lesen Sie weiter, um dies herauszufinden.

Was ist Verschlüsselung und wann benötigen Sie sie?

Verschlüsselung ist eine Methode, bei der Informationen in einen Geheimcode umgewandelt werden, um sie in eine für Unbefugte nicht mehr lesbare Form zu bringen, erklärt Security Insider. Im Computerwesen werden unverschlüsselte Daten als Klartext bezeichnet, während verschlüsselte Daten Geheimtext genannt werden. Wenn jedoch der vorgesehene Empfänger die Nachricht öffnet, werden die Informationen in ihr ursprüngliches Format zurückübersetzt. Dies bezeichnen wir als Entschlüsselung. Die zur Ver- und Entschlüsselung von Nachrichten angewendeten Formeln sind als Verschlüsselungsalgorithmen oder Chiffre bekannt.

Um die Inhalte der Nachricht zu entschlüsseln, müssen sowohl der Sender als auch der Empfänger einen sogenannten Verschlüsselungscode oder -schlüssel verwenden. Dabei handelt es sich um eine mittels Algorithmen zufällig generierte Zahlenreihe, um Daten zu ver- und entschlüsseln. Verschlüsselungssysteme, die für die Ver- und Entschlüsselung nur einen einzelnen Schlüssel einsetzen, werden als symmetrisch bezeichnet. Im Gegensatz dazu verwenden asymmetrische Verschlüsselungssysteme zwei Schlüssel: einen öffentlichen (Public Key), der zwischen Nutzern zum Verschlüsseln der Nachricht geteilt wird, und einen privaten Schlüssel (Private Key) für die Entschlüsselung, der nicht geteilt wird.

Verschlüsselung wird genutzt, um Daten bei der Übertragung von Land zu Land zu schützen. Die zwei wichtigsten Formen von Daten sind:

• In-Transit-Daten

Verschlüsselung spielt eine zentrale Rolle beim Schutz von Daten bei der Übertragung (engl. Data in Transit, auch Data in Motion oder Data in Flight) und Daten im Ruhezustand (engl. Data at Rest). Verschlüsselung bei der Übertragung schützt Informationen, falls diese abgehört oder abgefangen werden, währen die Daten über Netzwerke übertragen werden. Beispiele hierfür sind das Abheben von Geld an einem Bankautomaten, das Aufgeben oder Nachverfolgen einer Bestellung bei Amazon, das Hochladen von Fotos von Ihrem Smartphone in Ihre iCloud oder das Versenden einer E-Mail oder SMS.

• At-Rest-Daten

Wenn Ihre Daten ihr Ziel erreicht haben, werden Sie zu Data at Rest. Das bedeutet, dass sie in einer Datenbank, einem Dateiarchiv, einem Cloud-Back-up, einem Tabellenblatt, auf einem USB-Stick o. Ä. gespeichert werden. Diese Kategorie beinhaltet keine Informationen, die gerade verwendet werden, also z. B. über ein Netzwerk übertragen oder zur Ansicht oder Bearbeitung geöffnet werden, was als Daten in Verwendung (engl. Data in Use) bezeichnet wird. Beispiele hierfür sind das Öffnen eines Word-Dokuments, um es zu bearbeiten, oder das Prüfen Ihrer kürzlich getätigten Überweisungen in Ihrer Mobile-Banking-App.

Wenn sichergestellt werden soll, dass Informationen ausschließlich für befugte Nutzer zugänglich sind, ist Verschlüsselung-at-Rest oder -in-Transit unerlässlich, um die Datenschutzstrategie von Unternehmen wasserdicht zu machen. Laut TechTarget bietet sie Vertraulichkeit, indem die Inhalte einer Nachricht verschlüsselt werden; Authentifizierung, indem ihr Ursprung verifiziert wird; Integrität, indem bewiesen wird, dass sie seit dem Versenden unverändert geblieben ist, sowie Nonrepudiation, indem der Sender nicht leugnen kann, dass er die Nachricht versendet hat.

Ende-zu-Ende-Verschlüsselung (E2EE) wird oftmals als Goldstandard für sichere Kommunikation angepriesen. Mit ihr werden Nachrichten verschlüsselt, bevor sie gesendet werden, und erst dann entschlüsselt, wenn sie auf dem Gerät des Empfängers angekommen sind. Das bedeutet, dass niemand zwischen diesen beiden Endpunkten die Daten lesen oder bearbeiten kann, da keiner sonst über die privaten Schlüssel verfügt, mit denen dies möglich ist. Wenn nur das Sicherste sicher genug ist, ist Ende-zu-Ende-Verschlüsselung so gut wie – aber nicht vollkommen – unschlagbar.

Kein Ende in Sicht: Was ist Zero-Knowledge-Verschlüsselung?

Was jedoch, wenn es nur um die Daten geht und keine zwei Endpunkte oder Kommunikationen vorliegen – wie z. B. bei einem Cloudspeicher? An dieser Stelle kommt Zero-Knowledge-Verschlüsselung ins Spiel: eine Methode, die es selbst für Ihren Serviceanbieter unmöglich macht, Ihren Verschlüsselungscode oder die von Ihnen auf seinen Servern gespeicherten oder verarbeiteten Daten einzusehen. Alles, was Sie dort tun oder aufbewahren, wird verschlüsselt, bevor die Daten auf den Servern ankommen, ohne dass dabei der Verschlüsselungscode jemals dem Serviceanbieter bekannt ist.

Um den Begriff besser verständlich zu machen, lassen Sie uns noch einmal kurz zur traditionellen Funktionsweise von Verschlüsselung zurückkehren. Wie wir bereits aufgezeigt haben, sollten Online-Dienste mit einer Form von Verschlüsselung geschützt sein. Wenn wir also unsere Daten auf einer Webseite oder in einer App eingeben, sollten unsere Informationen auf eine Weise verschlüsselt werden, dass nur befugte Personen in Besitz des geheimen Schlüssels oder Passworts auf sie Zugriff nehmen können. Genau wie ein Türschloss kann diese Sicherheitsvorkehrung sehr einfach oder sehr sicher sein.

Nehmen wir einmal an, Sie sind auf Geschäftsreise. Billige Motels, in denen Ihr Schlüssel die Türen zu mehreren Zimmern öffnet, kommen nicht infrage. Daher entscheiden Sie sich für ein Hotel mit soliden Sicherheitsvorkehrungen. Nach Ihrer Ankunft checken Sie ein, machen sich fertig und lassen Ihre Kamera in Ihrem Zimmer, bevor Sie die Tür abschließen und zu einem Meeting eilen. Sie tun dies völlig sorglos, da Sie davon ausgehen, dass Ihre Kamera an genau demselben Platz sein wird, an dem Sie sie zurückgelassen haben, da Sie volles Vertrauen in das Hotelpersonal und das Türschloss an Ihrer Zimmertür haben.

In diesem Beispiel:

• stellt die Kamera die privaten Informationen dar, die Sie in die Cloud hochladen
• ist das Zimmer Ihr Konto
• ist das Türschloss das Verschlüsselungssystem zum Schutz Ihrer Daten
• ist der Schlüssel zum Schloss Ihr Passwort
• ist das Hotel Ihr Serviceanbieter

Dank Verschlüsselung können Sie dem Schloss beruhigt vertrauen. Was passiert jedoch, wenn ein Dieb oder Hacker das Schloss nicht knackt, sondern sich Zugriff auf den Generalschlüssel verschafft? Dann werden Sie sich wahrscheinlich nach einer neuen Kamera umsehen müssen – und sehen sich mit einer Datenschutzverletzung sowie der mit dieser oftmals einhergehenden Umsatz- und Rufschädigung konfrontiert. Wenn er jedoch Zero-Knowledge-Verschlüsselung einsetzt, hat Ihr Online-Serviceanbieter keinerlei Kenntnis über Ihre Daten oder Ihr Passwort – genau wie ein Hotel, das keine Kopien Ihres Zimmerschlüssels bereithält.

Demonstrieren statt mitteilen: Was ist ein Zero-Knowledge-Proof und wie funktioniert er?

Um es noch einmal zu betonen: Ein kenntnisfreies Protokoll (Zero-Knowledge-Protocol) bedeutet, dass nur Sie darüber informiert sind, was in Ihrem Speicher verwahrt wird und passiert. Wie sieht dies jedoch in der Praxis aus?

Wenn sie sich in einem Webserver anmelden, müssen Nutzer ihre Befugnis nachweisen, indem sie ihren Code oder ihr Passwort eingeben. Gewöhnlich liegt dem Server bereits eine verschlüsselte Version dieses Codes oder Passworts vor und wenn die beiden Versionen übereinstimmen, öffnet sich die Tür und Sie haben Zugriff. Die Sache hat jedoch einen Haken: Damit dies möglich ist, muss der Server Kenntnis über Ihre Schlüssel haben. Somit hängt die Sicherheit Ihrer Daten gänzlich davon ab, dass der Server nicht kompromittiert wird.

In den 1980er Jahren dachten MIT-Forscher Shafi Goldwasser, Silvio Micali und Charles Rackoff sich, dass es eine bessere Möglichkeit geben müsste. Sie entwickelten eine Methode, bei der der „Beweiser“ dem „Prüfer“ demonstrieren muss, dass er die Antwort auf ein bestimmtes mathematisches Problem kennt, sprich das Passwort, ohne dieses preiszugeben. Heute ist dieser Vorgang als Null-Wissen-Beweis (Zero-Knowledge-Proof) oder kenntnisfreies Protokoll (Zero-Knowledge-Protocol) bekannt. Gemäß Goldwasser, Micali und Rackoff muss der Beweis folgende Kriterien erfüllen:

• Vollständigkeit: Wenn der Beweiser über das richtige Passwort verfügt, wird der Prüfer überzeugt sein, dass es das richtige Passwort ist.
• Zuverlässigkeit: Der Prüfer wird überzeugt sein, wenn – und nur wenn – der Beweiser das richtige Passwort eingegeben hat.
• Zero-Knowledge: Der Prüfer hat keinerlei Kenntnis über irgendwelche Informationen, mit Ausnahme der Information, dass das Passwort korrekt ist.

Wie ist es also möglich nachzuweisen, dass Sie über das richtige Passwort verfügen, ohne es den Serviceadministratoren mitzuteilen? Um es nicht ganz so einfach auszudrücken: Das „private“ Passwort des Beweisers und das „öffentliche“ Passwort des Prüfers wissen, dass sie mathematisch verknüpft sind. Auf diese Weise kann der Prüfer prüfen, ob die Passwörter zusammengehören, aber das Passwort selbst nicht herausfinden.

Kommen wir noch einmal kurz auf unsere Hotel-Analogie zurück: Im Zero-Knowledge-Hotel würde das Empfangspersonal Ihnen keinen Schlüssel in die Hand drücken. Stattdessen würde es Ihnen die Zimmernummer nennen und Sie dazu ermutigen, ein Vorhängeschloss Ihrer Wahl mitzubringen, um das Zimmer abzusichern. Somit liegen keine Schlüsselkopien herum, die gestohlen werden könnten, und selbst die vertrauenswürdigsten Hotelmitarbeiter haben keinen Zugriff auf Ihre Wertgegenstände.

Cloudspeicherverschlüsselung: Lohn statt Risiko

Cloudverschlüsselung ist der Prozess, bei dem Verschlüsselungsalgorithmen verwendet werden, um Daten von ihrem ursprünglichen Klartextformat in ein nicht lesbares Format wie Geheimtext umzuwandeln, wenn sie in cloudbasierte Anwendungen und Speicher oder von ihnen aus übertragen werden. Cloudverschlüsselung ist eine proaktive Verteidigungsmaßnahme gegen Datenschutzverletzungen und Cyberattacken und ermöglicht Unternehmen, die Vorzüge von Cloud Collaboration Services voll auszuschöpfen, wie verbesserte Erfüllung gesetzlicher Auflagen, Kundenzufriedenheit und Arbeitsabläufe, bei denen Daten keinen unnötigen Risiken ausgesetzt werden, erklärt ComputerWeekly.de.

Was sind die Vorteile von Zero-Knowledge-Verschlüsselung?

• 1. Keine Kompromisse oder Abhängigkeiten, was Sicherheit betrifft. Anbieter von Zero-Knowledge-Lösungen Wissen nichts über Ihre Daten, was Zugriffe durch andere Personen außer Ihnen unmöglich macht.
• 2. Selbst wenn Ihre Daten geknackt werden, müssen Sie sich keine Sorgen machen. Sollten Ihre verschlüsselten Informationen offengelegt werden, sind sie für unbefugte Nutzer einschließlich Hackern weiterhin unlesbar.
• 3. Verbesserte Compliance für Branchen, für die Datenschutz gesetzlich vorgeschrieben ist, wie durch das Gesundheitsversicherungsübertragbarkeits- und Verantwortungsgesetz (Health Insurance Portability and Accountability Act, HIPAA) oder durch Regelwerke wie dem Payment Card Industry Data Security Standard (PCI-DSS).

Was sind die Nachteile von Zero-Knowledge-Verschlüsselung?

• 1. Kein Passwort, kein Zugriff. Wenn Sie Ihr Passwort und Ihre geheime Antwort verlieren oder vergessen, werden Sie nicht mehr auf Ihre Daten zugreifen können – ebenso wenig wie Ihr Serviceanbieter, der keinen Zugriff auf diese Informationen hat.
• 2. Mangelndes Benutzererlebnis und Tempo. Zusätzliche Sicherheitsschritte können Datenübertragungen in Ihren Cloudspeicher oder von diesem aus verlangsamen und weniger Möglichkeiten für erweiterte Funktionen und intuitive Benutzeroberflächen bieten.

Sicherheit sollte keine Frage des Vertrauens sein: Tresorits Zero-Knowledge-Sicherheit

Tresorit verwendet Zero-Knowledge-Protocols, um Ihre Daten zu schützen. Im Gegensatz zu anderen Services können wir jedoch darüber hinaus garantieren, dass all Ihre Daten durch Zero-Access (zu Deutsch: kein Zugriff) gesichert sind, ganz egal, von wo auf Sie auf sie zugreifen – selbst von Ihrem Browser aus. Es ist quasi unmöglich, dass unbefugte Personen auf Ihren privaten Schlüssel und Ihre Dokumente zugreifen können – uns eingeschlossen. Neben dem höchsten Sicherheitslevel in der Cloud bietet unsere Cloudspeicher- und Zusammenarbeitslösung Ihnen außerdem Folgendes:

• Behalten Sie die Kontrolle darüber, was mit Ihren Daten geschieht

Implementieren Sie Datenschutzmaßnahmen, während Sie an Dateien zusammenarbeiten, einschließlich der Kontrolle darüber, wer auf welche Daten zugreifen kann, des Protokollierens von Dateiaktivitäten und des Festlegens von internen Sicherheitsrichtlinien für die Datenverwaltung. Es ist unmöglich, Dateiinhalte zu bearbeiten, ohne dass Sie darüber informiert werden – dank kryptografischer Authentifizierung, die in Form von HMAC oder AEAD auf alle verschlüsselten Daten angewendet wird.

• Richten Sie Firmensicherheitsrichtlinien ein und machen

Sie sie geltend – an einem zentralen Ort Stellen Sie sicher, dass alle in Ihrem Team am selben Strang ziehen, wenn es um die Nutzung entscheidender Datensicherheitstools und -prozesse geht. Wenden Sie Richtlinienprofile auf Nutzergruppen an, einschließlich 2-Stufen-Verifizierung, IP-Filterung, Zeitüberschreitung und Datentauschrichtlinien; erstellen Sie verschiedene Richtlinien für jedes Profil und modifizieren Sie diese jederzeit über eine einzige Benutzeroberfläche.

• Sorgen Sie für sicheren und beschränkten Zugriff

Kontrollieren und entscheiden Sie, welche Geräte auf welche Dateien innerhalb des Unternehmens Zugriff nehmen können und von wo aus Nutzer sich in ihrem Firmenkonto anmelden können, um wichtige Datenbestände zu schützen. Verwalten Sie Dateien und Ordner mittels differenzierter Zugriffsberechtigungen, die gewährleisten, dass diese nur befugten Personen zugänglich sind, und beschränken Sie Datei-Downloads oder sperren Sie den Zugriff jederzeit.

Erfahren Sie mehr über Tresorit